I ricercatori della società Soluble un nuovo metodo di registrazione dei domini con , visivamente simili ad altri domini, ma che si differenziano effettivamente a causa della presenza di simboli con significati diversi. Tali domini internazionalizzati () possono inizialmente non differire dai domini di aziende e servizi noti, il che consente di utilizzarli per phishing, incluso il rilascio di certificati TLS validi per essi.
La sostituzione classica tramite un dominio IDN simile è stata a lungo bloccata dai browser e dai registrar, grazie al divieto di miscelare simboli di diversi alfabeti. Ad esempio, un dominio sostitutivo a pple.com ("xn--pple-43d.com") non può essere creato sostituendo la lettera latina «a» (U+0061) con la «а» cirillica (U+0430), poiché la mescolanza di lettere di diversi alfabeti non è consentita. Nel 2017 è stato un modo per aggirare tale protezione utilizzando nel dominio solo simboli unicode, senza l'uso del latino (ad esempio, mediante simboli di lingue con caratteri simili a quelli latini).
È stato trovato un ulteriore metodo per eludere la protezione, basato sul fatto che i registrar bloccano la mescolanza di caratteri latini e Unicode, ma se i caratteri Unicode specificati nel dominio appartengono al gruppo dei caratteri latini, tale mescolanza è consentita, poiché i caratteri appartengono a un unico alfabeto. Il problema è che nell'estensione ci sono omoglifì, simili nella scrittura ad altri caratteri dell'alfabeto latino:
il carattere «» assomiglia a «a», «» — «g», «» — «l».
La possibilità di registrare domini in cui il latino è mescolato con i caratteri Unicode specificati è stata evidenziata dal registrar Verisign (non sono stati controllati altri registrar), e sottodomini sono stati creati nei servizi Amazon, Google, Wasabi e DigitalOcean. Il problema è stato scoperto nel novembre dello scorso anno e, nonostante le notifiche inviate, dopo tre mesi è stato risolto all'ultimo momento solo in Amazon e Verisign.
Durante l'esperimento, i ricercatori hanno speso 400 dollari per registrare i seguenti domini in Verisign:
- amɑzon.com
- chɑse.com
- sɑlesforce.com
- ɡmɑil.com
- ɑppɩe.com
- ebɑy.com
- ɡstatic.com
- steɑmpowered.com
- theɡuardian.com
- theverɡe.com
- washinɡtonpost.com
- pɑypɑɩ.com
- wɑlmɑrt.com
- wɑsɑbisys.com
- yɑhoo.com
- cɩoudfɩare.com
- deɩɩ.com
- gmɑiɩ.com
- gooɡleapis.com
- huffinɡtonpost.com
- instaɡram.com
- microsoftonɩine.com
- ɑmɑzonɑws.com
- ɑndroid.com
- netfɩix.com
- nvidiɑ.com
- ɡoogɩe.com
I ricercatori hanno anche lanciato per controllare i propri domini alla ricerca di possibili varianti alternative con omoglifos, comprese le verifiche di domini già registrati e certificati TLS con nomi simili. Per quanto riguarda i certificati HTTPS, sono stati esaminati 300 domini con omoglifos attraverso i log di Certificate Transparency, dei quali 15 hanno mostrato la generazione di certificati.
I browser attuali Chrome e Firefox visualizzano tali domini nella barra degli indirizzi in notazione con il prefisso «xn--», tuttavia nei link i domini appaiono senza trasformazione, il che può essere utilizzato per inserire pagine di risorse dannose o link sotto le sembianze di download da siti legittimi. Ad esempio, su uno dei domini con omoglifos rilevati è stata registrata la diffusione di una variante malevola della libreria jQuery.
Fonte: opennet.ru
